Eine .ovpn-Datei importieren: Was sie installiert und was nicht

Sie haben das Profil importiert, der Client meldet eine Verbindung, und die Zertifikatsliste des Systems sieht genauso aus wie zuvor. Das ist das erwartete Ergebnis und kein fehlgeschlagener Import. Eine .ovpn-Datei ist eine Textkonfiguration, die einem kompatiblen OpenVPN-Client sagt, wie er einen Server erreicht und wie er sich authentifiziert, und sie schreibt nie etwas in den Vertrauensspeicher des Geräts. Aus der Verwechslung folgen zwei Fehler: zu erwarten, dass ein nativer VPN-Typ erscheint, und daraus zu schließen, dass der Import fehlgeschlagen sei, weil kein Zertifikat auftauchte.

Der Glaube, ein Import installiere ein Zertifikat

Das Profil kann Zertifikatsmaterial eingebettet tragen, und daher stammt die Idee: Ein Textblock zwischen spitzen Klammern sieht wie eine Installation aus. Der Client liest ihn stattdessen als Konfiguration und übergibt das Zertifikat seiner eigenen TLS-Schicht statt dem Betriebssystem. Den Vertrauenseinstellungen des Geräts wird nichts hinzugefügt, und es sollte auch nichts hinzugefügt werden. Die Datei beschreibt eine Verbindung, während der Vertrauensspeicher beschreibt, wem das Gerät zu glauben bereit ist.

Das Profil ist zudem ohne den privaten Schlüssel nutzlos, auf den es verweist, was ein weiterer Grund ist, warum es kein Zertifikat ist. Holen Sie die Datei über den verifizierten Kanal des Betreibers und behandeln Sie sie als sensibel, denn sie kann Identitätsmaterial einbetten, das Ihnen gehört. Verlieren Sie den Schlüssel, wird das Profil zur Beschreibung einer Verbindung, die Sie nicht herstellen können.

Öffnen Sie die Datei so, wie der Client es dokumentiert

Nutzen Sie die dokumentierte Dateiimport-Option des Clients, statt die Endung umzubenennen oder den Text in einen unpassenden VPN-Dialog einzufügen. Manche Produkte akzeptieren auch eine URL oder ein gebündeltes Archiv, und das sind eigene unterstützte Verfahren mit eigenen Fehlerbildern. Wenn Zertifikate oder Schlüssel als separate Dateien eintreffen, klären Sie vor jedem Verschieben, wie der Client sie erwartet. Kopieren Sie nur den .ovpn-Text auf einen zweiten Rechner, zeigt jeder referenzierte Pfad auf eine Datei, die dort nicht existiert, und die Fehlermeldung spricht von einer fehlenden Datei statt von einem fehlenden Import.

Das ist die Portabilitätsfalle in einem Satz: Der Text reist, die Verweise nicht. Legen Sie die referenzierten Dateien in der vom Client dokumentierten Struktur ab, oder wandeln Sie das Profil in die eingebettete Form um, wenn der Client sie unterstützt.

Eingebettetes Material gegenüber referenzierten Dateien

Ein eingebettetes Profil trägt CA, Zertifikat und Schlüssel in der Datei, ist also eigenständig und portabel, aber auch ein einzelnes Objekt, das so sorgfältig zu schützen ist wie der Schlüssel darin. Ein referenziertes Profil nennt Pfade auf der Festplatte, was nur dort funktioniert, wo diese Pfade existieren und der Client sie lesen darf. Eine Form ohne die andere zu verschieben ist der übliche Portabilitätsfehler, und er zeigt sich als TLS-Fehler statt als Importfehler. Keine der Formen ändert das Sicherheitsmodell, denn der Client validiert weiterhin den Server und braucht weiterhin einen nutzbaren privaten Schlüssel.

Ein Profil, das die Prüfung abschaltet, damit der Import gelingt, hat die Kontrolle gegen den Anschein von Fortschritt eingetauscht. Stellen Sie die Einstellung zurück, bevor Sie sich mit etwas Echtem verbinden.

Eine abgelehnte Direktive ist eine Client-Unstimmigkeit

Eine Direktive, die ein Desktop-Client akzeptiert, kann ein mobiler Client oder ein vereinfachter Desktop-Build ablehnen, und Skript-Hooks, Routing-Befehle und einige Transportoptionen fallen in diese Kategorie. Der Client ist nicht schwierig; er weigert sich, Anweisungen auszuführen, die er nicht durchsetzen kann. Importfehler nennen meist die Direktive, und dieser Name ist weit nützlicher als eine allgemeine Meldung, der Import sei nicht möglich. Suchen Sie diesen Namen in der Dokumentation des Clients, bevor Sie das Profil überhaupt bearbeiten.

Entfernen Sie nicht die Serverprüfung und aktivieren Sie keine unbekannte Skriptausführung, nur um den Import durchzubekommen. Finden Sie entweder einen Client, der die Direktive unterstützt, oder bitten Sie den Betreiber um ein Profil, das für den Client geschrieben ist, den Sie tatsächlich nutzen. Eine Zeile zu entfernen, um einen Fehler zu ersticken, ändert das, was die Verbindung zusichert, und diese Änderung überlebt den Import.

Prüfen Sie den Eintrag, den Sie tatsächlich starten

Nichts garantiert, dass die eben heruntergeladene Datei die im letzten Monat importierte Kopie ersetzt hat, prüfen Sie daher vor dem Verbinden den ausgewählten Profilnamen und seine Serverdaten. Testen Sie nach dem Verbinden die Ressource, die Sie wirklich brauchen, und untersuchen Sie Routing- und DNS-Verhalten, denn eine hergestellte Verbindung ist nur die erste Stufe. Wird das Profil abgelehnt, bewahren Sie die genaue Importmeldung und die Client-Version auf, denn das ist ein anderes Problem als ein Profil, das importiert wird und dann seinen Server nicht erreicht. Das OpenVPN-Handbuch dokumentiert die Direktiven, die ein Profil enthalten darf, und das ist die Referenz, die vor einer Bearbeitung zu prüfen ist.

Sobald der Ersatz funktioniert, ziehen Sie den alten Eintrag mit der Entfernen-Funktion des Clients zurück. Löschen Sie die Datei aus dem Download-Ordner, bleibt die gespeicherte Verbindung in der App unberührt. Notieren Sie zum Schluss, welcher Profilname aktiv ist, damit die nächste Person nicht über die Kopie verbindet, die Sie zurückziehen wollten.